मोबाइल डेवलपमेंट में Reverse Engineering: यह क्या है, उपकरण और विश्लेषण के तरीके

Reverse Engineering क्या है?

Reverse Engineering (रिवर्स इंजीनियरिंग) सॉफ्टवेयर विश्लेषण का अनुशासन है जो एप्लिकेशन के बाइनरी प्रतिनिधित्व से उसकी विशेषताओं, तर्क और संरचना को पुनर्प्राप्त करने पर केंद्रित है। मोबाइल एप्लिकेशन के लिए, विश्लेषण की वस्तुएं APK फ़ाइलें (Android) और IPA फ़ाइलें (iOS) हैं, जिनमें संकलित कोड, संसाधन, मैनिफेस्ट और प्रमाणपत्र होते हैं। रिवर्स इंजीनियरिंग का परिणाम एल्गोरिदम, प्रोटोकॉल, एन्क्रिप्शन कुंजी, API स्कीमा और व्यावसायिक तर्क का निष्कर्षण है।

रिवर्स इंजीनियरिंग के उद्देश्य वैध और अवैध में विभाजित हैं। वैध: सुरक्षा उपकरण बनाने के लिए मैलवेयर विश्लेषण, कमजोरियों के लिए स्वयं के एप्लिकेशन का ऑडिट, बंद प्रोटोकॉल के साथ संगतता सुनिश्चित करना, पेटेंट विश्लेषण और शिक्षा। अवैध: बौद्धिक संपदा की चोरी, लाइसेंस प्रतिबंधों को बायपास करना, पायरेटेड प्रतियां बनाना और उपयोगकर्ता डेटा चुराने के लिए एप्लिकेशन को संशोधित करना। Google Play Protect (2025) के अनुसार, बैंकिंग एप्लिकेशन के 78% दुर्भावनापूर्ण संशोधन मूल APK के आधार पर रिवर्स इंजीनियरिंग के माध्यम से बनाए जाते हैं।

रिवर्स इंजीनियरिंग की पद्धति में दो मुख्य दिशाएं शामिल हैं: स्टैटिक विश्लेषण (एप्लिकेशन चलाए बिना) और डायनामिक विश्लेषण (निष्पादन के दौरान)। प्रत्येक दृष्टिकोण जानकारी का एक अलग स्तर प्रदान करता है। स्टैटिक विश्लेषण कोड की पूरी तस्वीर देता है, लेकिन रनटाइम डेटा के बिना। डायनामिक विश्लेषण वास्तविक व्यवहार, डेटा प्रवाह, नेटवर्क कॉल प्रकट करता है, लेकिन केवल एक विशिष्ट निष्पादन परिदृश्य के भीतर। पेशेवर रिवर्स इंजीनियरिंग हमेशा दोनों दृष्टिकोणों को जोड़ती है।

स्टैटिक विश्लेषण उपकरण

स्टैटिक विश्लेषण रिवर्स इंजीनियरिंग का पहला चरण है। मूल APK या IPA को अनपैक किया जाता है, और प्रत्येक घटक का अलग-अलग विश्लेषण किया जाता है। मुख्य लक्ष्य: DEX बाइटकोड, संसाधन, मैनिफेस्ट, नेटिव लाइब्रेरी (.so, .dylib) और मेटाडेटा।

jadx — DEX से Java डीकंपाइलर

jadx Android एप्लिकेशन के स्टैटिक विश्लेषण के लिए प्रमुख उपकरण है। यह DEX बाइटकोड को न्यूनतम नुकसान के साथ पढ़ने योग्य Java कोड में परिवर्तित करता है। jadx समर्थन करता है: मल्टीडेक्स डीकंपाइलेशन, लैम्ब्डा और इनलाइन Kotlin कक्षाओं की पहचान, Gradle प्रोजेक्ट में निर्यात। ऑबफस्केटेड कोड (ProGuard) के लिए, jadx a, b, c नामों वाला कोड दिखाता है, लेकिन कक्षा संरचना और कॉल अनुक्रम संरक्षित रहता है। स्वतंत्र परीक्षण के अनुसार, jadx ऑबफस्केशन के साथ भी 85–92% कोड को सही ढंग से डीकंपाइल करता है।

apktool — संसाधन अनपैकिंग

apktool APK को smali कोड (DEX असेंबलर) में डीकोड करता है और संसाधनों को पढ़ने योग्य रूप में पुनर्स्थापित करता है: AndroidManifest.xml AXML से पढ़ने योग्य XML में परिवर्तित होता है, लेआउट XML मार्कअप में, strings.xml सादे टेक्स्ट में। apktool संसाधनों को संशोधित करने और APK को पुनर्निर्माण करने की अनुमति देता है। apktool के माध्यम से अनपैक करने और संसाधनों को बदलने के बाद, एप्लिकेशन को संशोधित सामग्री के साथ स्थापित किया जा सकता है।

Ghidra — नेटिव लाइब्रेरी विश्लेषण

Ghidra (NSA) एक रिवर्स इंजीनियरिंग फ्रेमवर्क है जो Android में .so लाइब्रेरी और iOS में .dylib के विश्लेषण के लिए आवश्यक है। Ghidra ARM64 कोड को डिसअसेंबल करता है, C स्यूडोकोड का पुनर्निर्माण करता है और कॉल ग्राफ बनाता है। मोबाइल रिवर्स इंजीनियरिंग के लिए, Ghidra का उपयोग क्रिप्टोग्राफी और DRM तंत्र के नेटिव कार्यान्वयन के विश्लेषण के लिए किया जाता है। Ghidra विश्लेषण स्वचालन के लिए Python और Java में स्क्रिप्टिंग का समर्थन करता है।

# APK अनपैकिंग और डीकंपाइलेशन
$ jadx -d output_dir app.apk

# apktool के माध्यम से संसाधन अनपैकिंग
$ apktool d app.apk -o app_unpacked

# Ghidra के माध्यम से नेटिव लाइब्रेरी विश्लेषण
$ ghidra app.apk/lib/arm64-v8a/libnative.so

# DEX में स्ट्रिंग स्थिरांक खोजना
$ strings classes.dex | grep -i api_key

डायनामिक विश्लेषण उपकरण

डायनामिक विश्लेषण चल रहे एप्लिकेशन पर किया जाता है। विश्लेषक प्रक्रिया से जुड़ता है और वास्तविक समय में फ़ंक्शन कॉल, आर्गुमेंट और रिटर्न वैल्यू को इंटरसेप्ट करता है।

Frida — सार्वभौमिक इंस्ट्रूमेंटेशन उपकरण

Frida मोबाइल एप्लिकेशन के डायनामिक विश्लेषण के लिए अग्रणी उपकरण है। Frida एप्लिकेशन प्रक्रिया (Android ART या iOS ऐप) में एक JavaScript इंजन इंजेक्ट करता है और Java/Objective-C और C/C++ दोनों फ़ंक्शन कॉल को इंटरसेप्ट करने की अनुमति देता है। Frida के साथ, रिवर्स इंजीनियर निम्न कार्य कर सकते हैं: पैरामीटर के साथ AES.decrypt() विधि की सभी कॉल लॉग करना, रिटर्न वैल्यू को मनमाने ढंग से बदलना, Universal Android SSL Unpin के माध्यम से SSL-pinning हटाना, Stalker के माध्यम से नेटिव कॉल ट्रेस करना। Frida APK/IPA को संशोधित किए बिना काम करता है, जो इसे पेनिट्रेशन टेस्टिंग के लिए अपरिहार्य बनाता है।

Objection — Frida रैपर

Objection JavaScript स्क्रिप्ट लिखे बिना सामान्य रिवर्स इंजीनियरिंग कार्यों के लिए तैयार कमांड प्रदान करता है: disable-pinning (SSL pinning अक्षम करना), dump-keychain (iOS), explore (कक्षा पदानुक्रम ब्राउज़ करना), memory search (मेमोरी में स्ट्रिंग खोजना)। Objection बिना एक भी लाइन कोड लिखे पूर्ण डायनामिक विश्लेषण करने की अनुमति देता है। iOS एप्लिकेशन के लिए, Objection स्वचालित रूप से NSURLSession, CFNetwork और NSKeyedArchiver कॉल ढूंढता और लॉग करता है।

Xposed Framework

Xposed Android के लिए एक फ्रेमवर्क है जो Zygote में app_process फ़ाइल को बदलकर काम करता है। Frida के विपरीत, Xposed को स्थापना के बाद रूट एक्सेस की आवश्यकता नहीं होती है। Xposed मॉड्यूल किसी भी एप्लिकेशन में विधि कॉल को इंटरसेप्ट कर सकते हैं। रिवर्स इंजीनियरिंग के लिए, Xposed दीर्घकालिक विश्लेषण के लिए सुविधाजनक है: मॉड्यूल स्थापित होता है और लगातार चलता है, विभिन्न परिदृश्यों में एप्लिकेशन के व्यवहार को लॉग करता है। Xposed Android 8.1 तक का समर्थन करता है; Android 9+ के लिए SandHook पर आधारित EdXposed का उपयोग किया जाता है।

// Frida: एप्लिकेशन में decrypt() विधि इंटरसेप्ट करना
let aesClass = Java.use("javax.crypto.Cipher");

aesClass.doFinal.overload(
    "[B", "int", "int"
).implementation = function(
    input, offset, len
) {
    console("[AES] decrypt called, len=" + len);
    return this.doFinal(input, offset, len);
};

Android एप्लिकेशन की रिवर्स इंजीनियरिंग प्रक्रिया

रिवर्स इंजीनियरिंग का मानक कार्यप्रवाह क्रमिक चरणों से बना होता है, जिनमें से प्रत्येक जानकारी का एक निश्चित स्तर प्रदान करता है।

चरण 1: जानकारी संग्रह

विश्लेषक मेटाडेटा स्तर पर APK की जांच करता है: targetSdk, uses-permission (कौन सी अनुमतियां मांगी गई हैं), intent-filter और exported घटक। अनुमतियां बता सकती हैं कि कौन से API उपयोग किए गए हैं (android.permission.CAMERA → कैमरा, android.permission.RECORD_AUDIO → ऑडियो)। exported गतिविधियां बिना प्राधिकरण के प्रवेश बिंदुओं की पहचान करती हैं। यह चरण aapt या ApkAnalyzer के माध्यम से किया जाता है और इसमें 1–2 मिनट लगते हैं।

चरण 2: DEX डीकंपाइलेशन

APK को अनपैक किया जाता है, और classes.dex (या multidex) को jadx में इनपुट किया जाता है। आउटपुट पैकेज में व्यवस्थित Java/Kotlin कोड है। विश्लेषक मुख्य कक्षाओं की खोज करता है: CryptoUtils, ApiClient, AuthManager, DatabaseHelper, और जांचता है कि कौन से एल्गोरिदम उपयोग किए गए हैं। यदि कोड में AES/CBC/PKCS5Padding जैसी स्ट्रिंग हैं, तो एप्लिकेशन एन्क्रिप्शन का उपयोग करता है और कुंजी खोजने की आवश्यकता है। इस चरण में, हार्डकोडेड कुंजी, API URL, OAuth टोकन और रहस्य पहचाने जाते हैं। ऑबफस्केशन के बिना, पूरा एप्लिकेशन कोड एक सामान्य Java प्रोजेक्ट की तरह पढ़ा जाता है।

चरण 3: ट्रैफ़िक विश्लेषण

SSL-pinning अक्षम करने के लिए Frida या Objection सेट करने के बाद, विश्लेषक एप्लिकेशन लॉन्च करता है और Burp Suite या mitmproxy के माध्यम से नेटवर्क ट्रैफ़िक इंटरसेप्ट करता है। ट्रैफ़िक डेटा API स्कीमा प्रकट करता है: कौन से एंडपॉइंट, कौन से पैरामीटर, किस प्रारूप में। यदि संभव हो, विश्लेषक अनुरोधों को संशोधित करता है और गलत या दुर्भावनापूर्ण डेटा पर सर्वर की प्रतिक्रिया की जांच करता है। सर्वर-साइड वैलिडेशन की कमी एक सीधी कमजोरी है जो इस चरण में खोजी जाती है।

चरण 4: data.json में रिकॉर्डिंग

विश्लेषण परिणाम संरचित प्रारूप में दर्ज किए जाते हैं। प्रत्येक खोजे गए कमजोर बिंदु के लिए संकेत दिया जाता है: कक्षा और विधि, कमजोरी का विवरण, शोषण वेक्टर और सुधार अनुशंसा। यह डेटासेट विकास टीम को भेजा जाता है या पेनिट्रेशन टेस्ट रिपोर्ट तैयार करने के लिए उपयोग किया जाता है। स्वचालित वातावरण (MobSF) में, स्टैटिक और डायनामिक विश्लेषण परिणामों के आधार पर रिपोर्ट स्वचालित रूप से उत्पन्न होती है।

iOS एप्लिकेशन की रिवर्स इंजीनियरिंग की विशेषताएं

iOS एप्लिकेशन की रिवर्स इंजीनियरिंग Android की तुलना में अधिक कठिन है क्योंकि Apple की सख्त सुरक्षा वास्तुकला और स्टॉक उपकरणों पर फ़ाइल सिस्टम तक सीधी पहुंच की कमी है। iOS विश्लेषण के लिए जेलब्रेक की आवश्यकता है।

Mach-O स्टैटिक विश्लेषण

IPA आर्काइव में Mach-O बाइनरी होती है — Apple का सार्वभौमिक निष्पादन योग्य फ़ाइल प्रारूप। डीकंपाइलेशन के लिए Hopper Disassembler या IDA Pro का उपयोग किया जाता है। Android DEX के विपरीत, जो न्यूनतम नुकसान के साथ Java में डीकंपाइल होता है, Mach-O में नेटिव ARM64 कोड होता है जो C स्यूडोकोड में कम सटीकता के साथ पुनर्निर्मित होता है। Hopper 60–70% पुनर्निर्माण प्राप्त करता है; शेष का असेंबली स्तर पर विश्लेषण किया जाना चाहिए।

iOS के लिए Frida के साथ डायनामिक विश्लेषण

iOS पर Frida को जेलब्रेक और frida-server की स्थापना की आवश्यकता है। कनेक्शन के बाद, Frida API मैसेज रूटिंग के माध्यम से Objective-C विधियों को इंटरसेप्ट करता है। iOS एप्लिकेशन के लिए, एक सामान्य परिदृश्य में शामिल है: HTTP अनुरोधों को लॉग करने के लिए NSURLSession.dataTaskWithRequest इंटरसेप्ट करना, सीरियलाइज़्ड डेटा विश्लेषण के लिए NSKeyedUnarchiver इंटरसेप्ट करना और frida-trace के माध्यम से CoreData क्वेरी ट्रेस करना। Frida iOS 15–17 के लिए Dopamine जेलब्रेक के रिलीज़ के साथ उपलब्ध हुआ।

IPA संशोधन

रिवर्स इंजीनियरिंग में IPA का संशोधन और फिर पुनः पैकेजिंग और डिवाइस पर स्थापना शामिल हो सकती है। उपकरणों में शामिल हैं: अनपैकिंग के लिए ipatool, सेक्शन देखने के लिए MachOView और कोड इंजेक्शन के लिए optool। संशोधन के बाद, IPA को जेलब्रेक किए गए डिवाइस पर स्थापना के लिए ldid या fastlane sigh के माध्यम से हस्ताक्षरित किया जाता है। iOS 16+ के लिए, कोड हस्ताक्षर Secure Enclave स्तर पर सत्यापित किया जाता है, और संशोधित IPA गैर-जेलब्रेक डिवाइस पर नहीं चलेगा।

// Frida: iOS एप्लिकेशन में HTTP अनुरोध इंटरसेप्ट करना
if (ObjC.available) {
    let NSURLSession = ObjC.classes.NSURLSession;
    let dataTaskWithRequest = ObjC.protocol("NSURLSessionDelegate")
        .method("- URLSession:dataTask:didReceiveData:");
    Interceptor.attach(dataTaskWithRequest.implementation, {
        onEnter(args) {
            let data = ObjC.Object(args[3]);
            console("[HTTP Response]", data.toString());
        }
    });
}

रिवर्स इंजीनियरिंग से सुरक्षा के तरीके

रिवर्स इंजीनियरिंग से सुरक्षा स्तरित सुरक्षा के सिद्धांत का पालन करती है: कोई भी एक विधि 100% सुरक्षा प्रदान नहीं करती है, लेकिन संयोजन रिवर्स इंजीनियरिंग को आर्थिक रूप से अव्यवहारिक बना देता है।

कोड ऑबफस्केशन

मूल स्तर Android के लिए ProGuard है, जो कक्षा और विधि नामों को एकल-वर्ण नामों से बदल देता है। बढ़ी हुई सुरक्षा के लिए, DexGuard ओवरलोड इंडक्शन (विभिन्न हस्ताक्षरों और एक ही नाम वाली कई विधियां) और AES-256 स्ट्रिंग एन्क्रिप्शन जोड़ता है। ऑबफस्केशन कोड विश्लेषण समय को 5 मिनट से बढ़ाकर स्तर के अनुसार 5–20 घंटे कर देता है। DexGuard अतिरिक्त रूप से नियंत्रण प्रवाह को ऑबफस्केट करता है, जिससे कोड jadx के लिए अपठनीय हो जाता है।

स्थिरांक एन्क्रिप्शन

सभी स्ट्रिंग स्थिरांक — URL, कुंजी, टोकन, SQL क्वेरी — बिल्ड समय पर एन्क्रिप्ट किए जाते हैं और रनटाइम पर डिक्रिप्ट किए जाते हैं। यह DEX फ़ाइलों में स्ट्रिंग के स्टैटिक विश्लेषण से बचाता है। app.apk पर strings चलाने वाला हमलावर कोई API एंडपॉइंट नहीं देखेगा। डीकंपाइलेशन के बाद भी, सभी स्ट्रिंग बाइनरी डेटा के रूप में दिखाई देती हैं। प्रत्येक स्ट्रिंग एक अलग कुंजी का उपयोग कर सकती है, जो डीऑबफस्केशन को जटिल बनाती है।

RASP और अखंडता जांच

एप्लिकेशन के अंदर एक RASP एजेंट रनटाइम पर Frida और डीबगिंग का पता लगाता है। APK के SHA-256 हैश के माध्यम से अखंडता जांच एप्लिकेशन के संशोधित संस्करण को चलने से रोकती है। यदि APK हैश संदर्भ हैश (मूल स्तर में संग्रहीत) से मेल नहीं खाता है, तो एप्लिकेशन समाप्त हो जाता है। यह APK संशोधन पर आधारित हमलों को अवरुद्ध करता है, जिसमें पुनः पैकेजिंग शामिल है।

सर्वर-साइड सुरक्षा

महत्वपूर्ण व्यावसायिक तर्क को क्लाइंट पर नहीं, बल्कि सर्वर पर निष्पादित किया जाना चाहिए। भले ही हमलावर एप्लिकेशन को पूरी तरह से डीकंपाइल कर ले, सर्वर कोड दुर्गम रहता है। सभी अनुरोधों और पैरामीटरों की सर्वर-साइड वैलिडेशन रिवर्स इंजीनियरिंग के दौरान खोजी गई कमजोरियों के शोषण को रोकती है। सर्वर प्रमाणीकरण Play Integrity API या App Attest के माध्यम से पुष्टि करता है कि अनुरोध एक वास्तविक, अपरिवर्तित एप्लिकेशन से आ रहा है।